מהי מדיניות שמירת נתונים?
מדיניות שמירת נתונים (Data Retention Policy) היא מסמך ארגוני המגדיר כיצד, כמה זמן, ובאילו תנאים
שומרים נתונים אישיים, עסקיים ותפעוליים במערכות המידע של הארגון.
מטרתה להבטיח טיפול אחראי, חוקי ויעיל במידע, תוך איזון בין צרכים עסקיים, עמידה ברגולציות,
ופרטיות המשתמשים.
מטרות מדיניות שמירת נתונים
ציות לחוקים ורגולציות
עמידה בתקנות כמו GDPR, HIPAA, SOX או חוק הגנת הפרטיות הישראלי.
מזעור סיכונים משפטיים
שמירה או מחיקה במועד עשויים למנוע תביעות, קנסות ואובדן מוניטין.
שיפור אבטחת מידע
ככל שפחות נתונים נשמרים לאורך זמן כך קטן הסיכון לדליפות, פריצות ושימוש לרעה.
ייעול משאבים טכנולוגיים
ניהול נכון של מחזור חיי המידע מפחית עלויות אחסון, גיבוי וניהול נתונים.
תמיכה בתהליכים עסקיים
מאפשרת גישה לנתונים היסטוריים כשנדרש, מבלי להציף מערכות במידע לא רלוונטי.
עקרונות יסוד במדיניות שמירת נתונים
הגבלת זמן – נתונים יישמרו רק כל עוד יש צורך חוקי, חוזי או עסקי ברור.
הגדרת קטגוריות מידע – לכל סוג מידע יוקצה זמן שמירה שונה (נתוני לקוחות, כספים, משאבי אנוש, לוגים וכו’).
שקיפות – המדיניות צריכה להיות ברורה לעובדים, ספקים ולעיתים גם ללקוחות.
אכיפה ובקרה – יש להחיל את המדיניות בפועל, לא רק על הנייר, ולבחון אותה מעת לעת.
מבנה מוצע למדיניות שמירת נתונים
הקדמה והצהרת מטרות
הגדרות (מה נחשב “נתון”, “שמירה”, “מחיקה”, וכו’)
תחולתה – על אילו מערכות, משתמשים ונתונים חלה המדיניות
טבלאות שמירה לפי סוגי נתונים
לדוגמה:
| סוג מידע | תקופת שמירה | מקור רגולטורי | אופן מחיקה |
| חוזי לקוחות | 7 שנים | חוזים מסחריים | מחיקה בטוחה |
| נתוני מועמדים לעבודה | 2 שנים | GDPR | אנונימיזציה |
| לוגים מערכתיים | 90 יום | אבטחת מידע | מחיקה אוטומטית |
אחריות ובעלי תפקידים – מי אחראי על אכיפת המדיניות (DPO, IT, משפטית וכו’)
הוראות לביקורת, התאמות ועדכונים תקופתיים
סנקציות ואכיפה – במידה והמדיניות מופרת
קשר לרגולציות חשובות
GDPR (התקן האירופי לפרטיות)- מחייב עקרון של Data Minimization ו-Storage Limitation.
HIPAA – מחייב שמירה של תיעוד רפואי לפרקי זמן מוגדרים.
SOX – דורש שמירה של מסמכים פיננסיים לפחות ל-7 שנים.
למשל, לפי סעיף 5(1)(e) ב-GDPR:
Personal data shall be kept in a form which permits identification of data subjects for no longer than is necessary…
אתגרים נפוצים ביישום
מערכות מיושנות – קושי לאכוף מחיקה אוטומטית.
עובדים שומרים מידע ידנית – במיילים, בדסקטופ או בפתקים.
חוסר סנכרון בין מחלקות – HR, מכירות, משפטי שומרים נתונים באופן שונה.
העדר ניטור ומעקב אחרי זמני השמירה
פתרונות וכלים לניהול מדיניות שמירת נתונים
Data Retention Schedulers – כלים אוטומטיים במחסני נתונים.
DLP או Data Loss Prevention – מסייעים בזיהוי והגבלת דליפת מידע.
AI Data Classification – מערכות מבוססות בינה מלאכותית שמזהות ומסווגות סוגי מידע.
ניהול רישומים (RoPA) – כמסמך משלים למדיניות.
שאלות ותשובות בנושא מדיניות שמירת נתונים
מה ההבדל בין שמירת נתונים לבין ארכוב נתונים?
שמירה מתייחסת לנתונים בשימוש פעיל; ארכוב מתייחס לנתונים לא בשימוש מיידי אך עדיין נחוצים,
המאוחסנים בסביבה נפרדת.
האם מחיקה לוגית (Logical Deletion) מספיקה לפי הרגולציות?
לא תמיד. GDPR דורש מחיקה בפועל או אנונימיזציה אמיתית ולא רק הסתרה ממשתמשים.
כיצד משלבים מדיניות זו ב־Data Governance?
כחלק מה־data lifecycle management, תחת אחריות אנשי אבטחת מידע, משפטיים ו־CIO/DPO.
